Необходимость включения в cookie-баннер кнопки 'Принять всё' и 'Отклонить всё'?

Иван, добрый день! Если у вас настроены cookies на сайте то строка уведомления об этом с согласием/несогласием (для посетителя сайта) обязательна!

В 2018 году в Европе появился регламент по защите личной инфо в интернете - GDPR, согласно которому пользователи получают доступ к личным данным и самостоятельно контролируют сбор и использование. После принятия документа сайты и стали спрашивать о файлах cookie. В России их сбор регулирует закон No152-ФЗ "О персональных данных".

Таким образом как Вы будете уведомлять это особо не Важно, главное, чтобы уведомление было четким и хорошо читаемым.

Здравствуйте!

Спасибо за ваш вопрос. Я понимаю, что эта тема может вызывать много вопросов и обсуждений. Действительно, в последнее время в законодательство вносятся изменения, и важно быть в курсе всех обновлений.

Согласно Федерального закона № 266-ФЗ от 02.07.2021, действительно существуют определённые требования к информированию пользователей о сборе и использовании их персональных данных, включая данные, получаемые через cookies. Однако, как вы правильно заметили, в самом законе не содержится прямого указания на необходимость наличия именно кнопок «Принять всё» и «Отклонить всё».

Тем не менее, для точного понимания всех требований и правильного оформления cookie-баннера, рекомендую обратиться к официальным разъяснениям Роскомнадзора.

Я готов помочь вам разобраться в этом вопросе более подробно и предоставить профессиональную юридическую консультацию. Буду рад ответить на все ваши вопросы и помочь вам разобраться в этой ситуации. Обращайтесь ко мне за платной юридической помощью, и мы вместе найдём оптимальное решение для вашего проекта.

Да, согласно изменениям в 152-ФЗ, необходимо включить в cookie-баннер кнопки "Принять всё" и "Отклонить всё" для управления согласиями пользователя. Это требование поддержано Роскомнадзором.

Здравствуйте, дополню информацию коллег для полноты картины.

Сегодня главная угроза для SaaS — не выездной инспектор, а АС МПДн (Автоматизированная система мониторинга ПДн). Это бот-паук Роскомнадзора, который непрерывно парсит Рунет, сличает формы сбора данных с документами на сайте и наличием компании в Реестре. Строим ответ именно от защиты от автоматизированного контроля.

1. Какие данные считаются ПДн?
Любая информация из ваших форм: email, телефон, ФИО, реквизиты физлиц, а также технические метаданные (IP, cookies, ID пользователя). Бот АС МПДн автоматически детектирует поля ввода () и скрипты аналитики на сайте, поэтому защита этих данных обязательна с первой секунды.

2. Локализация первичной БД в РФ?
Да, строго обязаны (ч. 5 Ст. 18 152-ФЗ). Первичный сбор, запись и систематизация данных граждан РФ должны идти на сервер внутри страны, иначе сервис рискует блокировкой домена по предписанию РКН.

3. Использование зарубежных серверов и сервисов?
Допустимо только после первичной записи данных в базу на территории РФ и соблюдения правил трансграничной передачи. Если используете зарубежные сервисы, которые не обеспечивают адекватную защиту, вам потребуется подать отдельное уведомление в РКН и ждать 10 дней до начала передачи. Если честно это не очень простой процесс и РКН весьма негативно относится к к использованию Google Analytics и Facebook Pixel без уведомления. Правила изложены в ст. 12, ФЗ 152 "О персональных данных".

4. Уведомление Роскомнадзора?
Обязательно до начала фактического сбора данных. Бот АС МПДн сопоставляет домены, собирающие данные, с Реестром операторов: если формы на сайте есть, а вас в Реестре нет — это автоматический красный флаг и повод для штрафа или запроса прокуратуры.

5. Оформление согласия (чекбоксы)?
Для самой регистрации чекбокс ПДн не нужен — обработка идет в рамках исполнения договора (Оферты). Однако бот РКН ищет на сайте пустые (не предустановленные) чекбоксы под маркетинговые рассылки и передачу данных третьим лицам — смешивать их с Офертой категорически нельзя.

6. Документы на сайте?
Для прохождения автопроверки обязательны: Политика обработки ПДн (ссылка должна быть сквозной на всех страницах), Пользовательское соглашение (Оферта) и рабочий Cookie-баннер с кнопкой согласия. Поручение на обработку данных (DPA) для клиентских баз ваших B2B-пользователей лучше всего вшить отдельным разделом прямо в Оферту.

7. Упоминание сторонних сервисов?
В Политике обработки ПДн вы обязаны прямо перечислить категории третьих лиц (или их конкретные наименования), которым передаются данные (Яндекс.Метрика, платежный шлюз, хостинг). В договорах с этими провайдерами обязательно наличие пункта о конфиденциальности, соблюдении 152-ФЗ и требовании локализации (для хостинга).

8. Штрафы и риски?
Главный риск - автоматическое выявление серверов вне РФ, что ведет к штрафу до 6 млн руб. И блокировке ресурса. Вторая критическая угроза - утечка данных (штраф до 15 млн руб., если не уведомить РКН в течение 24 часов).

Практическое резюме:
1) Обязательно до запуска (чтобы не попасться боту): Арендовать БД в РФ, опубликовать Политику ПДн и Оферту, настроить правильный куки-баннер, подать уведомление в РКН.
2) Разработать внутренние приказы (ЛНА) и регламент реагирования на утечки (на случай реальной проверки).
3) Самые рискованные нарушения: Сбор данных без записи в РФ, отсутствие компании в Реестре операторов РКН и отправка спама по предустановленным галочкам.

К ответу прилагаю инструкции по оформлению сайта.

Для SaaS-сервиса, работающего с пользователями из РФ, соблюдение 152-ФЗ «О персональных данных» является строго обязательным. С учетом масштабного ужесточения законодательства и кратного роста штрафов в 2025–2026 годах, формальный подход к документам или хранение данных за рубежом несут критические риски для бизнеса. Персональными данными является любая информация, которая прямо или косвенно относится к определенному физическому лицу (субъекту ПДн). В вашей SaaS-модели к ним относятся: при регистрации: Email и номер телефона. Сами по себе (без ФИО) Роскомнадзор и суды признают их персональными данными, так как они позволяют идентифицировать конкретного человека. При оплате и работе: ФИО пользователя, реквизиты личной банковской карты (если оплата идет от физлица). Технические данные: IP-адрес, файлы cookies, ID пользователя в системе, данные о местоположении. Реквизиты юрлиц (ИНН, ОГРН, КПП компании) сами по себе ПДн не являются, но если в аккаунте B2B-клиента указаны ФИО директора, контакты конкретного менеджера или корпоративные email вида ivanov@company.ru, это полноценные ПДн.

Деятельность по организации и проведению азартных игр на территории Российской Федерации с использованием информационно-телекоммуникационных сетей, в том числе сети "Интернет", а также средств связи запрещена, за исключением случаев приема интерактивных ставок и выплаты по ним выигрышей организаторами азартных игр в букмекерских конторах или тотализаторах.

Вам следует заказать персональный анализ ситуации, учитывая объем информации (это платная услуга, ст.779 ГК).

Отказ работодателя незаконен.
По ст. 128 ТК РФ инвалиды (включая 3 группу) имеют право на до 60 дней отпуска без сохранения зарплаты ежегодно. Работодатель обязан предоставить его по вашему заявлению, даже если требуется срочно (с сегодняшнего дня).
Подайте письменное заявление с указанием причины (инвалидность) и приложите копию справки МСЭ.
В случае отказа — требуйте письменное обоснование и обращайтесь в:
Трудовую инспекцию (онлайн-жалоба через онлайнинспекция.рф);
Прокуратуру или суд.
Работодатель не вправе сокращать установленные законом 60 дней, если вы предоставили документы об инвалидности.

Вы имеете право на отпуск без сохранения заработной платы, и отказ работодателя может быть обжалован.

Здравствуйте, Вячеслав!

Спасибо за ваш вопрос. Я понимаю, что вы заботитесь о соответствии вашей деятельности законодательству и хотите избежать возможных штрафов. Давайте разберёмся в ситуации.

Сбор и обработка персональных данных клиентов действительно требуют соблюдения определённых правил и норм. В зависимости от объёма и характера обрабатываемых данных, а также от целей их обработки, могут потребоваться различные документы и действия.

1. Уведомление в Роскомнадзор. В соответствии с законодательством, операторы персональных данных должны уведомлять Роскомнадзор о начале обработки персональных данных. Даже если ваша компания работает только в одном регионе, уведомление может потребоваться. Рекомендую вам обратиться к юристу, специализирующемуся на защите персональных данных, чтобы уточнить все детали и избежать возможных ошибок.

2. Политика конфиденциальности. Этот документ является обязательным для большинства сайтов и приложений, обрабатывающих персональные данные. В политике конфиденциальности вы должны чётко прописать, какие данные вы собираете, как вы их используете, с кем вы можете их передавать и как вы обеспечиваете их защиту.

3. Согласие на обработку персональных данных. Перед началом обработки персональных данных клиент должен дать своё согласие. Согласие должно быть информированным и однозначным. Вам необходимо чётко указать, какие данные вы будете обрабатывать, для каких целей и какие права имеет клиент в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

4. Договоры с хостингом и другими поставщиками услуг. Хотя эти договоры не всегда напрямую связаны с обработкой персональных данных, они могут содержать положения, влияющие на вашу ответственность за защиту этих данных.

5. Использование cookie. Обработка cookie также подпадает под действие законодательства о защите персональных данных. Вам необходимо обеспечить соответствие использования cookie законодательству и уведомить пользователей о том, что вы используете cookie, а также предоставить информацию о том, как пользователи могут управлять этими файлами.

Что касается штрафов, то незнание законодательства не освобождает от ответственности. Поэтому лучше всего обратиться к юристу, который поможет вам разобраться во всех тонкостях и избежать возможных проблем.

Я готов предложить вам свою помощь в решении этих вопросов. Я имею большой опыт работы с законодательством о защите персональных данных и готов помочь вам разработать все необходимые документы и обеспечить соответствие вашей деятельности законодательству.

Буду рад обсудить с вами все детали и ответить на любые вопросы. Обращайтесь, и я с радостью помогу вам.

Добрый день! В вашем случае вы обязаны уведомить Роскомнадзор, так как являетесь оператором по обработке персональных данных в силу вашей коммерческой деятельности. Все требования по обработке персональных данных закреплены в 152 ФЗ. Персональные данные любые данные о человеке, по которым его можно опознать. Точного перечисления таких данных в законе нет, но например, номер телефона, электронная почта к этому относится, также ФИО, информация о действиях на сайте, товары добавленные в корзину.Владельцы сайтов могут использовать файлы куки, например, для показа таргетированной рекламы или отправки напоминаний об оставленных в корзине товарах. Так как перечня персональных данных в законе нет, нельзя точно сказать, входят ли куки в понятие «персональных данных». Но на практике суды и Роскомназдор признают обработку информации, собираемой при помощи куки, обработкой персональных данных. Хранение и сбор тоже попадают под определение обработки. Даже если вы собираете данные и через пару минут удаляете, это будет считаться обработкой персональных данных. На сайте, где собираются данные пользователей, обязательно нужно разместить Политику обработки персональных данных. Это документ, в котором описано, какие именно данные и для какой цели вы собираете, как храните и обрабатываете, а также кому вы можете передавать эти данные. Политика обязательно должна содержать:
ссылку на сайт, к которому она применяется;
ФИО или название организации, которая получает согласие посетителя сайта;
цели обработки персональных данных.
Целью может быть отправка пользователям рассылки или предоставление доступа к образовательным материалам. Если вы собираете cookie, это также нужно указать в политике как отдельную цель. Для каждой цели укажите:
кто передаёт вам данные (категории субъектов персональных данных). Это могут быть посетители сайта, ваши сотрудники, кандидаты на вакансии;
категории и перечень данных о пользователях, которые вы получаете;
способы и сроки обработки и хранения данных,
порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований.
Согласно части 3 статьи 13.11 кодекса РФ об административных правонарушениях за отсутствие политики обработки персональных данных на сайте можно получить штраф в размере от 30 до 60 тысяч рублей. Обработка персональных данных пользователей без их согласия наказывается штрафом в размере от 300 до 700 тысяч рублей за первое нарушение и от 1 до 1, 5 миллиона рублей — за повторное. (ст. 13.11 КоАП РФ).

Владелец сайта должен уведомить Роскомнадзор об обработке персональных данных. Это можно сделать на портале персональных данных. Если оператор уже подал такое уведомление — это нужно сделать заново по новой форме, утверждённой Приказом Роскомнадзора от 28.10.2022 № 180.
В законе есть три исключения, когда можно не подавать уведомление:
когда обрабатываемые данные включены в государственные информационные системы персональных данных, созданные в целях защиты безопасности государства и общественного порядка;
когда данные обрабатываются в рамках исполнения законодательства по устойчивому функционированию транспорта и обеспечению безопасности там;
когда персональные данные обрабатываются без использования средств автоматизации — только на материальных носителях.

Пользователи могут запрашивать у владельцев сайта, для каких целей собирают их данные, как они обрабатываются, где хранятся и так далее. Раньше у компании был месяц для ответа на обращение, теперь — 10 рабочих дней.
Подготовьтесь к таким запросам заранее и закрепите во внутренних документах срок ответа. Если человек потребует прекратить обработку его персональных данных — оператор обязан это сделать также в течение 10 дней.
Если компания проигнорирует запрос пользователя или ответит после окончания положенного срока, её оштрафуют на сумму от 40 до 80 тысяч рублей.

С 1 сентября 2022 года пользователь также имеет право не предоставлять персональные данные, которые не нужны для исполнения договора. Например, если покупатель оформляет у вас доставку товара в пункт выдачи, а вы запрашиваете его домашний адрес, человек может не предоставлять вам эти данные. Если вы откажете пользователю в доставке, то есть в исполнении договора, и он потребует объяснить, почему это произошло, нужно ответить в короткие сроки: на письменный запрос — в течение 7 дней, на устный — незамедлительно.

К более расширенной информации по всем вопросам обработки персональных данных вам придется обратиться к услугам юридической фирмы или юриста, так как в одном ответе невозможно все нюансы вам рассказать.

Это не афера. Просто законная супруга отца вашего ребенка хочет получить положенные ей по закону выплаты. Добрый день.